服务器不直接配置传统路由器ACL，但可通过云平台网络ACL、Linux iptables/nftables、企业边界路由器/防火墙扩展ACL、Windows高级安全防火墙四类方式实现等效访问控制，核心是按源IP、协议、端口精确匹配并绑定至流量入方向。

服务器本身不直接配置传统路由器意义上的 ACL，但实际场景中，“服务器网络访问控制列表”通常指在服务器所在网络边界（如防火墙、网关路由器、云平台负载均衡器或服务器操作系统层面）实施的访问控制策略。这些策略逻辑等同于 ACL，目标是精确控制谁可以访问服务器、访问什么服务、从哪里来、用什么协议。

下面分四类常见环境说明怎么配，直击实操要点：

一、云平台（如腾讯云、阿里云）上的网络 ACL

这是最常用、对服务器最友好的方式，无需改服务器配置。

• 进入控制台 → 安全 → 网络 ACL → 新建规则
• 入站规则示例（只允许办公网段访问 Web 和 SSH）：
  • 协议：TCP
  • 端口：80, 443, 22
  • 源 IP：192.168.10.0/24
  • 策略：允许
• 默认规则很重要：所有未匹配的入站流量默认“拒绝”，无需额外加 deny any
• 规则按顺序执行，允许规则写在前面，拒绝规则写在后面（或靠后）
• 配好后，关联到服务器所在的子网（不是绑定到单台服务器）

二、Linux 服务器本机用 iptables/nftables

适合无专用防火墙设备、需精细控制本机端口的场景。

宝塔Linux面板11.3.0

宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。

下载

• 查看当前规则：sudo iptables -L -n -v
• 允许特定 IP 访问 SSH：

  sudo iptables -A INPUT -s 203.0.113.5 -p tcp --dport 22 -j ACCEPT

• 拒绝其他所有 SSH 尝试（放在允许规则之后）：

  sudo iptables -A INPUT -p tcp --dport 22 -j DROP

• 保存规则（Ubuntu/Debian）：sudo netfilter-persistent save
• ⚠️ 注意：务必先放行你当前连接的 IP 或 SSH 端口，否则可能锁死

三、企业网络出口路由器/防火墙（如 Cisco ASA、华为 USG）

适用于服务器部署在内网、由边界设备统一防护的架构。

• 创建扩展 ACL（编号 101），只放行 Web 流量：

  access-list 101 permit tcp any host 192.168.5.10 eq 80
  access-list 101 permit tcp any host 192.168.5.10 eq 443
  access-list 101 deny ip any host 192.168.5.10
  access-list 101 permit ip any any

• 应用到外网接口的入方向（in）：

  interface GigabitEthernet0/1
  ip access-group 101 in

• 关键点：ACL 要绑定到流量进入的方向（in），且目标 IP 是服务器内网地址；规则顺序不能颠倒

四、Windows Server 用高级安全防火墙

图形界面或 PowerShell 均可操作，适合混合环境。

• 打开“高级安全 Windows 防火墙” → 入站规则 → 新建规则
• 类型选“端口” → TCP，特定本地端口：80,443
• 作用域 → “远程 IP 地址”选“下列 IP 地址”，添加允许段（如 10.1.1.0/24）
• 操作选“允许连接”
• 同样可新建一条规则，针对相同端口但源 IP 为“任何 IP 地址”，操作选“阻止”——放在允许规则之后生效

不复杂但容易忽略的是：所有 ACL 默认隐含一条 deny any，所以只要没明确放行的流量，一律被拦。配置时务必确认“允许”规则已生效、顺序正确、应用方向无误。